HTTP-проксі і HTTPS-проксі: што азначае пазнака
Адрознівайце HTTP-проксі, які стварае тунэлі да HTTPS-сайтаў, ад HTTPS-проксі, які шыфруе злучэнне з самім проксі.
Выкарыстоўвайце схему, пазначаную ў дакументацыі пункта праслухоўвання проксі. Выбіраючы кандыдатаў са спіса HTTP-проксі, удакладніце гэтую схему перад наладжваннем кліента. HTTPS-сайт можа выкарыстоўваць http://proxy.example:8080; замена гэтага значэння на https:// патрабуе іншага тыпу злучэння з проксі.
| URL проксі | URL сайта | Злучэнне |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | Незашыфраваны HTTP да проксі і да мэтавага сервера. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT да проксі, затым TLS з мэтавым серверам праз тунэль. |
https://proxy.example:8443 | https://example.com/ | TLS да проксі; тунэль да мэтавага сервера праходзіць унутры гэтага злучэння. |
Для звычайнага HTTP-пункта праслухоўвання, які дазваляе CONNECT, такая канфігурацыя ўзгодненая:
curl --proxy http://127.0.0.1:8080 https://example.com/TLS-рукапацісканне з сайтам адбываецца пасля таго, як проксі прыме тунэль. Калі змяніць URL проксі на https://, але яго пункт праслухоўвання разумее толькі незашыфраваны HTTP, узгадненне TLS з проксі можа скончыцца памылкай яшчэ да звароту да сайта.
Што дадае TLS на ўчастку да проксі
Проксі з падтрымкай TLS абараняе злучэнне паміж кліентам і проксі, уключаючы абмен CONNECT і аўтэнтыфікацыю на проксі, ад пасіўнага праслухоўвання на гэтым участку. Аператар проксі па-ранейшаму апрацоўвае злучэнне і ведае адрас прызначэння тунэля. Гэты рэжым павінны падтрымліваць і кліент, і пункт праслухоўвання:
curl --proxy https://proxy.example:8443 https://example.com/Выкарыстоўвайце сапраўднае імя хоста сэрвісу: сертыфікат мусіць адпавядаць яму і быць давераным. Абмежаванні на адрасы прызначэння і парты застаюцца ў сіле.
Калі HTTPS выкарыстоўваецца з абодвух бакоў, выконваюцца дзве праверкі сертыфікатаў. curl дазваляе наладзіць іх асобна:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert задае давер для проксі, а --cacert — для мэтавага сервера. Пры неабходнасці выкарыстоўвайце наборы сертыфікатаў ад адміністратара; сістэмных налад даверу ўжо можа быць дастаткова. Перш чым змяняць любую наладу, вызначце, якое рукапацісканне не атрымалася.
Пазнака «HTTPS» у спісе проксі можа азначаць толькі тое, што канчатковы пункт прайшоў праверку CONNECT. Калі спіс не апісвае свой тэст, адна пазнака не паказвае, ці чакае пункт праслухоўвання http:// або https://.